CVE-2024-0996

Tenda i9 versão 1.0.0.9(4122)

Foi encontrada uma vulnerabilidade crítica no Tenda i9, afetando a função formSetCfm do componente httpd, especificamente no arquivo /goform/setcfm. A manipulação do argumento funcpara1 leva a um estouro de buffer baseado em pilha. Essa vulnerabilidade pode ser explorada remotamente, permitindo potencialmente que um invasor cause uma negação de serviço. A exploração foi divulgada publicamente.

Como solução temporária, considere desativar a função formSetCfm do componente httpd até que um patch esteja disponível. Restrinja o acesso ao endpoint /goform/setcfm para minimizar o risco de exploração. Evite usar o argumento funcpara1 no endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.